Auditoría continua

Cómo funciona

La auditoría continua no significa estar constantemente presente en la entidad. Significa diseñar procedimientos de auditoría que se ejecuten regularmente, típicamente mediante sistemas automatizados o visitas frecuentes programadas, para evaluar si los controles internos funcionan de forma consistente a lo largo del período. Bajo NIA-ES 330.1, el auditor debe diseñar procedimientos de auditoría que proporcionen evidencia suficiente y apropiada sobre la efectividad operativa de los controles internos, particularmente en relación con los riesgos de aseveración identificados. La auditoría continua cumple esta obligación mediante el testeo repetido en lugar del testeo puntual, reduciendo así el riesgo de que un período entre una prueba y la siguiente contenga un error no detectado.
El mecanismo práctico depende del control evaluado. Para un control administrativo (por ejemplo, aprobación de facturas por persona autorizada), la auditoría continua podría consistir en revisar muestras de facturas aprobadas cada semana, generando un registro de las facturas revisadas y los resultados. Para un control de sistema (por ejemplo, límites de autorización en el software de compras), la auditoría continua podría consistir en una prueba automática ejecutada diariamente que identifica cualquier transacción que ha pasado más allá del límite sin aprobación adicional. En ambos casos, la evidencia acumulada a lo largo de los meses proporciona una visión más clara de la efectividad que una prueba de diez transacciones realizada en noviembre.

Ejemplo práctico: Construmayorca S.L.

Cliente: Empresa constructora con domicilio en Palma de Mallorca, ingresos de 28,5 millones de euros, marco contable PGC, período fiscal calendario.
Situación: La entidad tiene un control de autorización de pagos: todas las facturas de proveedores con importe superior a 25.000 euros requieren aprobación de la dirección financiera antes del pago. La dirección operativa trabaja con decenas de proveedores mensuales. El auditor del año anterior había realizado una prueba puntual en octubre: seleccionó 30 facturas del mes de octubre y verificó que todas tenían la aprobación requerida. El auditor encontró 28 aprobadas correctamente y 2 faltantes de aprobación, resultando en una conclusión de "control efectivo con excepciones menores."
Paso 1: Rediseño como auditoría continua
El auditor nuevo decide cambiar a auditoría continua. Acuerda con TI que cada semana extrae un reporte del sistema que identifica todas las facturas emitidas por más de 25.000 euros durante esa semana y el estado de aprobación. El auditor asigna esta tarea a un miembro del equipo de auditoría con bajo riesgo de sesgo.
Nota de documentación: En el papel de trabajo PT 3.2.1, se documenta el acuerdo de testeo: fuente de datos (reporte semanal de TI), campo de prueba (facturas > 25.000 EUR), criterio de cumplimiento (aprobación por dirección financiera antes de pago), frecuencia (semanal), responsable (miembro del equipo A), plazo (cada viernes).
Paso 2: Ejecución durante el período
A lo largo de nueve meses (enero-septiembre), el equipo de auditoría revisa un total de 412 facturas de proveedores. De estas, 401 tienen la aprobación requerida. Nueve facturas (2,2%) fueron pagadas sin aprobación previa; el auditor investiga y descubre que todas corresponden a proveedores considerados "habituales" por la dirección operativa, que asumió que podía omitir la aprobación. Una factura de 89.000 euros en junio se pagó sin aprobación y fue identificada por el procedimiento continuo dentro de 7 días.
Nota de documentación: En el papel de trabajo PT 3.2.2, se resume el testeo: número de facturas revisadas por mes, número de excepciones por mes, naturaleza de cada excepción, investigación de excepciones. El control es "efectivo con excepciones recurrentes" no "efectivo con excepciones menores."
Paso 3: Evaluación de la efectividad operativa
A diferencia del testeo puntual de 30 transacciones en octubre, el procedimiento continuo proporciona una muestra de 412 transacciones a lo largo de nueve meses. El patrón de excepciones (todas relacionadas con proveedores habituales) sugiere un control cuyo diseño es bueno, pero cuya operación se degrada bajo presión. El hallazgo no es que el control sea inefectivo, sino que requiere refuerzo específicamente para proveedores recurrentes. Bajo NIA-ES 330.10, el auditor evalúa esta información para determinar si ha obtenido evidencia suficiente sobre la efectividad operativa. En este caso, la respuesta es sí: nueve meses de observación habitual es más defensible que una muestra de 30 en octubre.
Conclusión: La auditoría continua ha revelado un patrón de control que el testeo puntual no habría identificado. El auditor documenta una evaluación más matizada de la efectividad del control y ajusta el enfoque de auditoría de otras áreas para reflejar el riesgo residual identificado.

Qué entienden mal los revisores y profesionales

• Hallazgo de inspección Tier 1: La ICAC (Instituto de Censores Jurados de Cuentas de España) ha observado en sus informes de inspección que cuando las firmas documentan "auditoría continua," rara vez explican cuál es el criterio de cumplimiento que se está monitoreando. El control se dice "continuo," pero no está claro qué se considera excepcionalidad, quién lo revisa, o cuándo se revisa. NIA-ES 330.8 requiere que el auditor obtenga evidencia sobre la efectividad del control incluyendo la oportunidad y consistencia con la cual se opera. La documentación debe demostrar que el auditor comprendió el mecanismo del control, no solo que fue "testado continuamente."
• Error práctico Tier 2: Muchos auditores aplican auditoría continua solamente a controles de TI automatizados (por ejemplo, reglas de validación de datos) y olvidan que controles administrativos pueden someterse también a auditoría continua. NIA-ES 330.6 requiere que el auditor diseñe procedimientos que proporcionen evidencia apropiada sobre la efectividad de todos los controles internos relevantes, sin importar si son automatizados o administrativos. La auditoría continua de una aprobación humana de facturas es tan defensible como la de un algoritmo de validación, siempre que el testeo sea repetido y documentado.
• Brecha de práctica documentada Tier 3: Las firmas frecuentemente confunden "testeo repetido durante el período" (auditoría continua) con "estar en la entidad todos los días" (presencia continua). La presencia no es suficiente para auditoría continua. Lo que importa es la frecuencia y la documentación formal del testeo, no la presencia física. Algunas firmas documentan procedimientos mensales como "continuos" cuando el intervalo de un mes es en realidad más consistente con auditoría a mitad de período que auditoría continua. La línea no es nítida, pero las expectativas sobre la frecuencia deben ser explícitas.
• No vincular explícitamente los resultados del testeo continuo con la evaluación del riesgo de aseveración. La NIA-ES 330.25 requiere que el auditor documente cómo los resultados de las pruebas de controles afectan su evaluación del riesgo de error material. Un procedimiento continuo que identifica excepciones recurrentes pero no ajusta la evaluación de riesgo genera documentación inconsistente.

Auditoría continua vs. Monitoreo de controles internos

La auditoría continua es una técnica de auditoría: el auditor diseña y ejecuta procedimientos repetidos durante el período. El monitoreo de controles internos, bajo NIA-ES 330.A88, es un componente del sistema de control interno: la dirección realiza sus propias evaluaciones periódicas de la efectividad de los controles. Estos son conceptos diferentes. La auditoría continua puede evaluar qué tan bien la dirección está monitoreando sus controles, pero la auditoría continua del auditor no reemplaza el monitoreo de la dirección. El auditor también debe evaluar, bajo NIA-ES 330, si los procedimientos de monitoreo de la dirección están proporcionando información útil y confiable.
| Dimensión | Auditoría continua | Monitoreo interno |
|---|---|---|
| Quién lo realiza | El auditor externo | La dirección o auditoría interna |
| Objetivo | Obtener evidencia sobre efectividad de controles | Supervisar que los controles sigan siendo efectivos |
| Frecuencia | Semanal, mensual, según el riesgo | Según el diseño de los procedimientos de monitoreo |
| Documentación | Papers de auditoría | Registros internos, actas de comité de auditoría |
| Cómo informa el auditor | En notas de procedimientos, en evaluación de riesgo | En cuestionario de evaluación de sistema de control interno |

Cuándo importa la distinción en una encargo

Un auditor de una constructora mediana en Madrid está evaluando si los controles internos sobre autorización de pagos son efectivos. La dirección ha implementado un sistema donde el gerente de operaciones revisa y aprueba todas las facturas de proveedores sobre 20.000 euros. El director financiero no está involucrado en esta revisión.
El auditor podría:
La diferencia: la Opción A confía en que la dirección ha monitoreado correctamente. La Opción B proporciona evidencia independiente de auditoría. Bajo NIA-ES 330.8, el auditor debe obtener evidencia sobre la efectividad operativa de los controles, no confiar solamente en que la dirección diga que los está monitoreando.

• Opción A (incorrecto): Revisar el correo electrónico del gerente de operaciones donde la dirección documenta sus revisiones mensuales del control ("monitoreo"). Basándose en esto, concluir que el control es efectivo.
• Opción B (correcto): Realiza auditoría continua. Cada semana durante 40 semanas, extrae un reporte del sistema que muestra todas las facturas aprobadas por el gerente de operaciones. Revisa una muestra de facturas aprobadas para verificar que fueron aprobadas antes del pago y que cumplen con los criterios de gasto autorizados. Esto le proporciona evidencia repetida y documentada sobre la efectividad del control.

Términos relacionados

• Evaluación del riesgo de aseveración: El proceso de identificar qué riesgos afectan a las aseveraciones específicas de los estados financieros; el riesgo de aseveración determina qué controles debe evaluar el auditor.
• Control determinante: Un control cuya efectividad el auditor ha determinado que es necesario para la reducción del riesgo de aseveración a un nivel aceptable; los controles principal son candidatos primarios para auditoría continua.
• Monitoreo de controles internos: El componente del sistema de control interno donde la dirección supervisa que los controles sigan siendo efectivos; diferente de auditoría continua.
• Riesgo de control: La evaluación del auditor sobre la probabilidad de que un error no sea prevenido o detectado por un control interno; la auditoría continua reduce el riesgo de control evaluando controles repetidamente.
• Procedimientos sustantivos: Procedimientos de auditoría diseñados para detectar aseveraciones incorrectas; relacionados con auditoría continua en el equilibrio entre testeo de controles y testeo sustantivo.
• Eficiencia de auditoría: El grado en el que el auditor obtiene evidencia suficiente con recursos minimizados; la auditoría continua frecuentemente mejora la eficiencia al distribuir el testeo a lo largo del período.